TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

해외 매체 · 보안 교육 뉴스

필터총 7건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
키워드
자격증명235악성코드218위협 행위자197암호화167비밀번호145이메일145Windows140해킹137익스플로잇130클라우드130엔드포인트123브라우저119

주요 뉴스

이 범위에서 지금 주목할 이슈

중요데일리시큐

워드프레스 플러그인·테마서 치명적 취약점 5종…사이트 탈취·원격코드실행 위험

워드프레스에서 널리 쓰이는 플러그인·테마 5종에서 CVSS 9.8~10.0에 달하는 치명적 취약점이 공개됐습니다. 영향을 받는 제품은 WPMU DEV 대시보드, 아바다(테마), 트랜슬레이트프레스, 포즈, 기브WP이며, 로그인하지 않은 외부 공격자가 관리자 계정을 빼앗거나 서버에서 마음대로 명령을 실행(RCE·원격코드실행)할 수 있습니다. 각 개발사는 이미 수정 버전을 배포했기 때문에, 해당 플러그인·테마를 사용 중인 워드프레스 운영자는 지금 즉시 최신 버전으로 업데이트해야 합니다. 자동 업데이트 설정만 믿지 말고, 실제 적용된 버전 번호를 직접 확인하는 것이 중요합니다.

2026. 08. 30.
The Hacker News

TerminalFix, 가짜 Cloudflare CAPTCHA를 악용해 역방향 터널 백도어 배포

데일리시큐

[긴급] 랜섬웨어 'The Gentlemen' 연계 서버서 AI 활용 C2 개발 정황 포착

데일리시큐

중국계 해킹그룹 '파이어 앤트', 시스코 라우터 장악해 정보수집 거점으로 악용중

데일리시큐

러시아 해킹 조직 APT28, 유럽 정부·외교기관 공격…신종 백도어 'HOOKEDGE' 사용

전체 목록

중요기업
The Hacker News·2026. 09. 24.

해킹된 우크라이나 웹사이트, 가짜 Cloudflare ClickFix 화면으로 Psychedelic Stealer 악성코드 유포

해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.

자세히 보기
#Windows#데이터 탈취#데이터유출
기업
Help Net Security·2026. 09. 22.

사기꾼들, 진짜 Google 로그인을 이용해 고가의 미검증 AI 구독 서비스 판매

사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.

자세히 보기
#AI#OAuth#결제
기타
Help Net Security·2026. 09. 21.

사기범들, 경찰 사칭해 체포 위협으로 피해자 금품 갈취

FBI(미국 연방수사국)가 경찰관·연방 요원을 사칭해 피해자를 협박하는 보이스피싱 사기에 대한 경보를 업데이트했습니다. 2025년 1월부터 2026년 7월까지 신고된 피해액만 16억 달러(약 2조 원)를 넘었습니다. 사기범들은 체포·기소 위협, 배심원 불출석, 면허 만료 등의 명목으로 선불카드·암호화폐·현금 송금 방식의 즉각적인 납부를 요구합니다. AI 기술까지 활용해 속임수가 더욱 정교해지고 있으며, 의료인·이민자·유학생 등 특정 집단을 노린 맞춤형 수법도 확인됩니다. 실제 정부 기관은 전화·문자로 결제를 요구하거나 개인정보를 묻지 않으니, 이런 연락을 받으면 공식 채널로 직접 확인해야 합니다.

자세히 보기
#AI#개인정보#결제
기타
Help Net Security·2026. 09. 18.

예의 바른 봇이 소셜 미디어에서 사람들을 더 잘 속인다

보안기업 Surfshark가 전 세계 1,722명을 대상으로 소셜 미디어에서 봇(자동화된 가짜 계정)과 실제 사람을 구별하는 능력을 테스트한 결과, 참가자들은 봇의 40%만 잡아냈습니다. 특히 공격적이거나 부정적인 봇보다 친절하고 논리적인 말투를 쓰는 봇이 훨씬 더 잘 통과했으며, 긍정적인 봇의 탐지율은 38%로 부정적인 봇보다 12%포인트 낮았습니다. 이런 '예의 바른 봇'은 사람들의 경계심을 낮춰, 개인정보 공유나 링크 클릭, 나아가 정치적·사회적 견해 변화까지 유도할 수 있어 실질적인 보안 위협이 됩니다. 이모지를 과도하게 쓰는 봇은 60% 이상 잡혔지만, 평범한 말투를 쓰는 봇은 35%만 적발됐습니다. 50대 이상과 TikTok·Facebook 이용자의 봇 탐지 능력이 가장 낮은 것으로 나타났습니다.

자세히 보기
#AI#개인정보#보안 교육
중요기업
Help Net Security·2026. 09. 10.

사이버 범죄자들이 피해자의 브라우저 내부에서만 존재하는 피싱 페이지를 만들고 있다

보안업체 Barracuda 연구팀이 기존 피싱과 전혀 다른 새로운 공격 방식을 발견했습니다. 공격자는 가짜 웹사이트를 서버에 올리는 대신, 피해자의 브라우저 안에서만 존재하는 임시 주소(blob URL)를 이용해 피싱 페이지를 만듭니다. 공격은 DocuSign을 흉내 낸 이메일로 시작하며, 실제 Microsoft OAuth와 Teams 인프라를 경유하기 때문에 URL만 보면 의심하기 어렵습니다. 피싱 페이지는 피해자 기기 메모리 안에서 조립되고, 공격자는 서비스 워커(service worker)와 브라우저 메시징을 통해 실시간으로 페이지 내용을 원격 제어합니다. 기존 보안 솔루션이 악성 URL을 차단하는 방식으로는 이 공격을 탐지하기 매우 어렵습니다.

자세히 보기
#MFA#OAuth#보안 교육
중요기업
Help Net Security·2026. 09. 02.

FBI, 공격자들이 OAuth 피싱으로 著名人을 표적 삼고 있다고 경고

FBI는 2025년 말부터 정치인·기자·학자 등 유명 인사와 그 주변인을 노린 'OAuth 동의 피싱(OAuth consent phishing)' 공격이 계속되고 있다고 경고했습니다. 공격자는 Microsoft나 Google 같은 정식 서비스의 로그인 화면을 그대로 이용하기 때문에, 피해자가 속아서 권한을 허용하면 비밀번호 없이도 이메일·파일에 무제한 접근할 수 있게 됩니다. 이 방식은 다단계 인증(MFA)도 우회하며, 비밀번호를 바꿔도 공격자의 접근이 차단되지 않는다는 점이 특히 위험합니다. 피해를 막으려면 계정의 '앱 권한 설정'에서 해당 토큰을 직접 취소해야 합니다. FBI는 출처를 알 수 없는 메시지의 링크를 클릭할 때 각별히 주의하고, 신뢰할 수 없는 애플리케이션에는 절대 권한을 부여하지 말 것을 권고했습니다.

자세히 보기
#MFA#OAuth#보안 교육